大部分操作都经过网关（openclaw gateway）完成。网关是一个常驻进程，负责管理通道连接和 WebSocket 控制面。

核心规则

• 建议每台主机只运行一个网关。网关是唯一允许持有 WhatsApp Web 会话的进程。如果需要救援 bot 或严格隔离，可以用独立的 profile 和端口运行多个网关。详见 多网关部署。
• 回环优先：网关 WS 默认监听 ws://127.0.0.1:18789。即使是回环模式，向导也会默认生成网关 token。如果需要 tailnet 访问，使用 openclaw gateway --bind tailnet --token ...，非回环绑定必须配置 token。
• 节点通过局域网、tailnet 或 SSH 连接网关 WS。旧的 TCP 桥接协议已废弃。
• Canvas 由网关 HTTP 服务器在同一端口（默认 18789）上提供：
  • /__openclaw__/canvas/
  • /__openclaw__/a2ui/ 当配置了 gateway.auth 且网关绑定地址不是回环时，这些路由受网关认证保护。节点客户端使用与其 WS 会话绑定的能力 URL。详见 网关配置（canvasHost、gateway）。
• 远程访问通常通过 SSH 隧道或 tailnet VPN。详见 远程访问 和 设备发现。